如何防止网络监听

防止各种监听程序对网络的监听也有多种方法，如网络分段、VPN、加密等。

1）从逻辑或物理上对网络分段

网络分段通常被认为是控制网络广播风暴的一种基本手段，但其实也是保证网络安全的一项措施。其目的是将非法用户与敏感的网络资源相互隔离，从而防止可能的非法监听或者减少窃听范围。

2）以交换式集线器代替共享式集线器

对局域网的中心交换机进行网络分段后，局域网监听的危险仍然存在。这是因为网络最终用户的接入往往是通过分支集线器而不是中心交换机，而使用广泛的分支集线器通常是共享式集线器。这样，当用户与主机进行数据通信时，两台机器之间的数据包（称为单播包Unicast Packet）还是会被同一台集线器上的其他用户所监听。因此，应该以交换式集线器代替共享式集线器，使单播包仅在两个节点之间传送，从而防止非法监听。当然，交换式集线器只能控制单播包而无法控制广播包（Broadcast Packet）和多播包（Multicast Packet）。但广播包和多播包内的关键信息，要远远少于单播包。

3）划分VLAN

运用VLAN（虚拟局域网）技术，将以太网通信变为点到点通信，可以防止大部分基于网络监听的入侵。

4）使用加密技术

数据经过加密后，通过监听仍然可以得到传送的信息,但显示的是乱码。使用加密技术的缺点是影响数据传输速度以及使用一个弱加密术比较容易被攻破。系统管理员和用户需要在网络速度和安全性上进行折中。例如，在网络层加载IPSec协议进行IP分组的加密传输，在传输层使用SSL（Secure Socket Layer）进行安全传输，在应用层使用SHTTP协议进行安全超文本传输。具体可以参见第一章中图1.6给出的各层安全协议。通过在网络层、传输层、应用层进行加密，那么在数据链路层的窃听到的信息都是密文，可以防止网络监听。